마이크로소프트, 두 달 연속 1000건 넘는 취약점 수정
핵심 요약
- CISA가 연방 기관에 아웃룩 취약점을 11월 24일까지 패치하도록 했다. 조작된 메시지 파일을 열면 인증 정보가 유출될 수 있으며, 마이크로소프트는 실제 악용을 확인했다.
CISA가 실제 공격에 악용되는 아웃룩(Outlook) 취약점 CVE-2026-124194를 알려진 악용 취약점 목록(KEV)에 추가하고, 연방 기관에 2026년 11월 24일까지 패치를 적용하도록 했다. 마이크로소프트(Microsoft)가 화요일 수정한 이 스푸핑 취약점은 CVSS 점수 6.5점으로, 회사의 심각도 분류는 ‘보통(Moderate)’이다.
인증되지 않은 공격자가 특수하게 조작한 메시지 파일을 보내 대상자가 취약한 아웃룩에서 열도록 유도하면 공격이 이뤄질 수 있다. 아웃룩이 통상적인 외부 콘텐츠 경고 없이 공격자가 통제하는 네트워크 위치에 연결하면서 NTLMv2 해시 같은 인증 정보가 유출될 수 있고, 공격자는 이를 사용자 사칭에 이용할 수 있다. 마이크로소프트는 공격에 네트워크 연결과 사용자 상호작용이 모두 필요하다고 설명했다.
인터넷에 노출되거나 외부 이메일을 받는 환경에서는 KEV 기한 전에 패치를 적용하는 것이 권고된다. 패치가 늦어지는 장비는 외부 호스트로 향하는 SMB 연결과 NTLM 인증을 차단해 인증 정보 유출에 따른 피해 범위를 줄일 수 있다. 이러한 통제는 패치를 대체하지 않는다. 액션원(Action1)의 잭 바이서(Jack Bicer) 취약점 연구 담당 이사는 보통 등급이 위험을 충분히 반영하지 못한다며 “이메일은 어느 기업에서든 가장 쉽게 들어갈 수 있는 문이며, 이 결함은 파일 하나를 여는 행위를 신원 도용으로 이어지게 한다”고 말했다.
마이크로소프트는 공격 주체와 구체적인 악용 방식, 공격 시작 전후 중 언제 취약점이 발견됐는지는 공개하지 않았다. 발견·신고 공로는 연구자 Nono와 앤트로픽(Anthropic)의 브누아 세븐스(Benoît Sevens)에게 돌아갔다. 세븐스는 클로드(Claude)를 이용해 이 취약점을 찾아 신고했다.
이번 수정 대상은 총 1259건으로, 마이크로소프트의 월간 패치 규모는 두 달 연속 1000건을 넘었다. 제품별로 윈도(Windows) 726건, 오피스(Office) 174건, SQL Server 59건, Developer Tools 61건, SharePoint Server 27건이며, 마이크로소프트가 직접 발급하지 않은 CVE 식별자 165건도 포함됐다. 유형별로는 권한 상승이 500건을 넘었고 원격 코드 실행과 정보 유출이 뒤를 이었다. 테너블(Tenable)의 사트남 나랑(Satnam Narang) 선임 스태프 연구 엔지니어 집계에 따르면 마이크로소프트가 올해 해결한 CVE는 5100건을 넘는다.
다른 주요 수정 대상에는 Windows Search(CVE-2026-116928), LDAP(CVE-2026-119958), Windows Schannel(CVE-2026-119952), Windows Virtual Filtering Platform(CVE-2026-95962), Xbox Live Networking Service(CVE-2026-112967)의 원격 코드 실행 취약점이 있다. Azure OpenAI의 권한 상승 취약점(CVE-2026-119990)도 수정됐다.
워치타워(watchTowr)의 제이크 노트(Jake Knott) 위협 인텔리전스 책임자는 “실제로 인터넷에 노출된 것부터 시작하고, 이어 이미 실제 공격에 악용되는 것, 그다음에 나머지를 살펴보라. 당황하기 전에 취약한 구성 요소를 실제로 사용하는지, 또는 악용에 필요한 전제 조건을 충족하는지 확인하라”고 말했다. CVE-2026-124194는 악용에 필요한 조건이 적어 우선 점검 대상에 놓인다.
